IP Брандмауэр Nat

Невозможно заранее предотвратить вход третьих лиц с использованием учётных данных, полученных от уполномоченного пользователя, как с его согласия, так и без него. Вы можете заблокировать аккаунт после обнаружения факта, но обычно к тому моменту уже поздно. В некоторой степени двухфакторная аутентификация помогает, ведь люди обычно не дают свой мобильный телефон друзьям, но это всё равно не даёт 100% гарантии — уполномоченный пользователь может сознательно разрешить доступ другим. Клиентские сертификаты могут предотвратить намеренную передачу аккаунта, но только если они созданы правильно и не могут быть экспортированы на стороне клиента. Поэтому аппаратные токены («смарт-карты») с неэкспортируемыми сертификатами — единственный надёжный вариант (на одних ОС сертификаты можно легко экспортировать, на других — это требует серьёзных усилий, но наперёд вы не знаете, какими ОС пользуются ваши клиенты). Однако даже аппаратный токен можно украсть и использовать для входа третьим лицам, если при этом не применяется двухфакторная аутентификация или вторая ступень не была украдена. Аппаратные токены, для использования которых нужно вводить пароль, кажутся более надёжными и против намеренной передачи, и против кражи, но не защищают от пыток или шантажа уполномоченного пользователя.

При попытке определить, является ли конкретный доступ «законным» или нет, полагаться ни на что нельзя — несколько уполномоченных пользователей могут заходить с одного публичного IP-адреса из-за CarrierGradeNAT, поэтому проверить IP не получится; люди могут заходить с мобильного телефона, и одно устройство способно одновременно устанавливать две сессии — через Wi-Fi и мобильную сеть. Нельзя привязать аккаунт к фиксированному IP, чтобы выявить совместное использование данных или кражу. Можно ограничить число одновременных подключений с одними учётными данными, но точно не одним, по указанным причинам. И всё равно можно ждать проблем при сбоях, когда клиент создаст новую сессию, а сервер ещё признает активными предыдущие.